CVE-2026-39803: DoS in Bandit 1.4.0
平台
other
组件
bandit
修复版本
ae3520dfdbfab115c638f8c7f6f6b805db34e1ab
CVE-2026-39803 描述了 Bandit 1.4.0 版本中存在的拒绝服务 (DoS) 漏洞。该漏洞源于 HTTP/1 chunked 请求处理中的资源分配无限制问题，攻击者可以通过发送恶意构造的请求耗尽服务器内存，导致服务不可用。受影响的版本包括小于 1.4.0 的所有版本，建议用户尽快升级到已修复的版本。
影响与攻击场景
该拒绝服务漏洞允许攻击者通过发送大量恶意构造的 HTTP/1 chunked 请求，耗尽 Bandit 服务器的内存资源。由于 Bandit 在读取 chunked 请求体时没有对资源进行限制，攻击者可以发送非常大的请求体，导致服务器内存溢出，最终导致服务崩溃或响应缓慢。攻击者无需身份验证即可发起攻击，因此其影响范围广泛，可能导致服务中断和业务损失。
利用背景
该漏洞于2026年5月13日公开披露。目前尚未发现公开的POC，但由于漏洞易于利用，存在被利用的风险。漏洞的严重程度评级待定，需要进一步评估。建议密切关注安全社区的动态，及时获取最新的安全信息。
威胁情报
漏洞利用状态
CISA SSVC
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
缓解措施和替代方案
为了缓解此漏洞，建议立即将 Bandit 升级到版本 ae3520dfdbfab115c638f8c7f6f6b805db34e1ab 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 HTTP/1 chunked 请求体的大小，配置防火墙或代理服务器来过滤恶意请求，并监控服务器资源使用情况，及时发现异常情况。升级后，请确认通过测试请求来验证漏洞是否已修复。
修复方法翻译中…
Actualice la biblioteca Bandit a la versión 1.11.1 o superior para mitigar la vulnerabilidad de denegación de servicio. Esta actualización corrige el problema al limitar el tamaño del cuerpo de la solicitud HTTP/1, evitando el agotamiento de la memoria.
常见问题
什么是 CVE-2026-39803 — DoS 漏洞在 Bandit 1.4.0 中？
CVE-2026-39803 描述了 Bandit 1.4.0 版本中存在的拒绝服务漏洞，攻击者可以通过内存耗尽导致服务不可用。
我是否受到 CVE-2026-39803 在 Bandit 1.4.0 中影响？
如果您的 Bandit 版本小于 1.4.0，则可能受到影响。
如何修复 CVE-2026-39803 在 Bandit 1.4.0 中？
建议立即升级到版本 ae3520dfdbfab115c638f8c7f6f6b805db34e1ab 或更高版本。
CVE-2026-39803 在 Bandit 1.4.0 中是否正在被积极利用？
目前尚未发现公开的利用案例，但由于漏洞易于利用，存在被利用的风险。
在哪里可以找到官方 Bandit 关于 CVE-2026-39803 的公告？
请访问 Bandit 官方网站或相关安全社区，查找关于 CVE-2026-39803 的安全公告。
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...